Elliptic: skradzione XRP o wartości około 50 mln dolarów wymieniono głównie na bitcoiny

Wymiana XRP powiększa pulę skradzionych bitcoinów

Według firmy analitycznej Elliptic hakerzy powiązani z kradzieżą z Binance wymienili około 42 mln XRP o wartości mniej więcej 50 mln dolarów, głównie na bitcoiny za pośrednictwem THORChain. Aktualizacja firmy, obejmująca aktywność do piątku, wskazuje, że wymiany te odpowiadały za większość nocnego wzrostu ilości bitcoinów pochodzących ze skradzionych aktywów. Saldo wymienionych bitcoinów wzrosło do około 1 650 BTC o wartości około 124 mln dolarów.

Wymienione XRP stanowią jedynie część skradzionej kwoty, a nie całość. Elliptic zidentyfikował około 192 mln XRP o wartości mniej więcej 226 mln dolarów, które nadal pozostają niewymienione na adresach powiązanych z kradzieżą. XRP należały do aktywów, które wyprowadzono podczas incydentu z 29 października, wycenionego później przez Binance na 6,34 mld dolarów. Różnica między kwotą wymienioną a pozostałą wskazuje, że transfer XRP nadal trwa, ale nie pozwala ustalić, jaka część zostanie przeniesiona dalej.

Transfery XRP skradzionych środków rozpoczęły się w krótkim przedziale czasowym 29 października. Według relacji zawartej w raporcie, między 20:05 a 20:09 UTC pięć gorących portfeli Binance wysłało 233,46 mln XRP na adres atakującego. FBI przypisało szerszą kampanię północnokoreańskiej grupie TraderTraitor. Binance stopniowo wznawia wypłaty i poinformowało, że zamroziło lub przechwyciło około 2,85 mld dolarów, a straty klientów pokryło z własnych środków.

XRP przemieszczano etapami po kilku dniach przerwy

Skradzione XRP nie trafiło od razu do usług wymiany. Elliptic podaje, że wczesnym rankiem 2 listopada, między 02:12 a 04:00 UTC, około 233 mln XRP przeniesiono na sześć nowo utworzonych adresów. Środki pozostały tam do 5 listopada. Ta przerwa oddziela początkowy transfer od późniejszych wymian i pokazuje, dlaczego chronologia kradzieży ma znaczenie: XRP przemieszczano przez kilka dni, a nie w ramach jednej nieprzerwanej transakcji.

Po południu 5 listopada dwa z sześciu adresów zaczęły rozsyłać XRP do dziesiątek nowych kont. Następnie na tych kontach wymieniano tokeny, głównie za pośrednictwem THORChain na bitcoiny. Elliptic odnotował również tego wieczoru niewielką ilość etheru, która przez THORChain trafiła do bitcoinów. Ten schemat wskazuje, że wymiany XRP były częścią szerszych działań mających na celu przeniesienie skradzionych aktywów między różnymi usługami i zamianę ich na inne aktywa, a nie tylko transfer oryginalnych tokenów między portfelami.

Nie wszystkie znaczące zasoby podążyły tą drogą. Elliptic podaje, że największe pule bitcoinów i etheru powiązane z kradzieżą nie zostały ruszone, a przeniesiono jedynie niewielkie części głównych zasobów etheru i NEAR. Widać więc różnicę między aktywami, które już wymieniono, a znacznymi zasobami nadal pozostającymi w portfelach. Raport nie wskazuje, kiedy ani czy niewykorzystane salda zostaną przeniesione, dlatego obecnej aktywności związanej z XRP nie można traktować jako harmonogramu dla pozostałych środków.

Rozległy ślad obejmuje portfele, łańcuchy i usługi

Od kradzieży na Binance Elliptic naliczył ponad 20 000 portfeli na 16 blockchainach powiązanych ze śladem prania pieniędzy. Firma zidentyfikowała również aktywność obejmującą co najmniej 36 usług i co najmniej 65 000 transakcji. Innymi słowy, według jej danych pojawia się mniej więcej jeden nowy portfel co 30 sekund i jedna transakcja co 10 sekund. Skala ta wskazuje na rozproszony ślad obejmujący wiele blockchainów; sama w sobie nie dowodzi, że każdy portfel lub każda usługa odpowiada odrębnemu uczestnikowi.

Mimo znacznego ruchu Elliptic szacuje, że około 3,11 mld dolarów nadal znajduje się na adresach powiązanych z kradzieżą, głównie w etherze i bitcoinie. Firma twierdzi, że jak dotąd prawdopodobnie wypłacono w gotówce jedynie znikomą kwotę. To rozróżnienie ma znaczenie: przenoszenie aktywów między portfelami lub wymiana jednego tokena na inny nie jest tym samym co zamiana ich na tradycyjny pieniądz. Zgłoszony ślad wskazuje więc na znaczną aktywność związaną z praniem pieniędzy, przy ograniczonych dowodach na dokonanie wypłat.

Elliptic twierdzi, że przepływ środków odzwierciedla również różnice w możliwościach zamrażania aktywów. Emitenci mogą zamrażać wiele stablecoinów, ale nie mogą w ten sam sposób zamrozić XRP ani zamrozić bitcoina. Według raportu po tym, jak 29 października Tether i Circle zablokowały duże pakiety stablecoinów, atakujący skupił się na aktywach nieobjętych mechanizmem kontroli emitentów. Zamiana XRP na bitcoina wpisuje się w ten schemat, choć źródło nie twierdzi, że bitcoin staje się przez to niemożliwy do śledzenia lub odzyskania.

Pytanie brzmi, czy konwersja będzie kontynuowana

Obecna aktywność związana z XRP jest częścią szerszej sekwencji konwersji. Elliptic podaje, że wszystkie skradzione SOL, warte według wycen firmy około 87 mln dolarów, zostały wymienione, przesłane przez mosty międzyłańcuchowe lub zmiksowane, a znaczna część ostatecznie trafiła do bitcoina. Przebiegła też większość wczesnego prania około 220 mln dolarów w TRX, podczas gdy przeniesiono jedynie niewielkie części głównych pul etheru i NEAR. Dane te pokazują różne etapy w przypadku poszczególnych grup aktywów, a nie jedną, jednakową trasę dla wszystkich skradzionych środków.

Część przekonwertowanych środków trafiła również do usług ukierunkowanych na ochronę prywatności. Elliptic odnotował, że od 1 listopada do miksów CoinJoin w stylu Wasabi przesłano około 33 BTC o wartości mniej więcej 2,5 mln dolarów. Firma poinformowała również, że przed wstrzymaniem przyjmowania depozytów przez usługę Privacy Cash do jej puli trafił ether i SOL o wartości około 1,1 mln dolarów. Są to niewielkie części szerszego śladu, a raport nie dowodzi, że usługi otrzymały wszystkie przekonwertowane aktywa ani że środki udało się wypłacić.

Elliptic interpretuje szybkość i regularność działań jako typową automatyzację, a nie działanie agenta AI podejmującego decyzje na bieżąco, wskazując na stałe odstępy czasowe, z góry ustalone kwoty, automatyczne ponawianie prób i taktyki wdrażane w odstępach kilku godzin. Nie wiadomo, co wydarzy się dalej: kluczowe pytanie w najbliższym czasie brzmi, czy większa część z około 192 milionów XRP zostanie wymieniona i czy ulokowane ether później zmienią adres. Raport nie rozstrzyga również, czy operatorzy THORChain i innych mostów będą w stanie dostatecznie szybko blokować opublikowane adresy atakujących, by przerwać ten proceder.

Źródło: BitcoinMagazine